Audit de site web › Bandeau cookies

Bandeau cookies obligatoire ? Savoir si votre site utilise des cookies

En bref : le bandeau n'est obligatoire que si votre site dépose ou lit des traceurs qui exigent le consentement : publicité, réseaux sociaux, la plupart des outils de statistiques, et souvent les vidéos ou cartes intégrées. Les cookies strictement nécessaires (panier, connexion, mémorisation du choix…) et certains outils de mesure d'audience bien configurés en sont dispensés. Pour savoir où vous en êtes, ouvrez votre site, appuyez sur F12 et regardez ce qui est déposé avant tout clic sur le bandeau : la méthode est détaillée plus bas.

Ce que dit la règle en France

Le texte de référence est l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne « ePrivacy ». La CNIL en a précisé l'application dans ses lignes directrices (délibération n° 2020-091) et sa recommandation (délibération n° 2020-092), toutes deux du 17 septembre 2020, résumées sur sa page Cookies et traceurs : que dit la loi ?. Le principe : avant de déposer ou de lire un traceur sur l'appareil du visiteur, il faut son consentement, sauf exceptions.

« Traceur » est plus large que « cookie » : la CNIL y inclut le stockage local du navigateur (localStorage), les pixels invisibles ou le calcul d'une empreinte de l'appareil. Un site sans cookie mais avec un pixel publicitaire est donc concerné.

Les traceurs dispensés de consentement

Selon la CNIL, n'exigent pas de consentement notamment les traceurs :

qui conservent le choix exprimé par le visiteur sur les cookies ;
d'authentification (espace client, connexion), y compris ceux qui sécurisent la connexion ;
qui gardent en mémoire le panier d'un site marchand ;
de personnalisation de l'interface attendue par l'utilisateur, comme le choix de la langue ;
d'équilibrage de charge entre serveurs ;
certains traceurs de mesure d'audience, sous conditions.

Pour la mesure d'audience, les conditions sont strictes (page de la CNIL sur les outils de mesure d'audience) : finalité limitée à la mesure de l'audience pour le seul compte de l'éditeur, statistiques anonymes uniquement, pas de recoupement avec d'autres traitements ni de transmission des données à des tiers, pas de suivi de la personne d'un site à l'autre. La CNIL recommande aussi d'informer les visiteurs, de limiter la durée de vie de ces cookies à treize mois sans prolongation automatique, et de conserver les données vingt-cinq mois au plus. Elle prévient que certaines offres du marché réutilisent les données pour leur propre compte, et appelle à la vigilance sur les transferts hors de l'Union européenne.

Ceux qui exigent le consentement

la publicité, personnalisée ou non, dès que des traceurs mesurent ses affichages ;
les boutons de partage et modules des réseaux sociaux ;
les pixels de suivi des campagnes publicitaires ;
les outils de statistiques qui ne remplissent pas les conditions ci-dessus ;
les contenus intégrés d'autres services (vidéo, carte, avis, messagerie instantanée) quand leurs traceurs ne sont pas strictement nécessaires, ce qui est fréquent : le test ci-dessous montre ce qu'ils déposent.

Le test en 2 minutes dans votre navigateur

Pas besoin d'acheter un scanner : Chrome, Edge et Firefox affichent tout ce qu'un site dépose. Faites le test sur ordinateur.

Repartez de zéro. Ouvrez votre site et appuyez sur F12. Allez dans l'onglet Application (Chrome, Edge) ou Stockage (Firefox), rubrique Cookies. Effacez les cookies de votre site (clic droit sur son adresse ou dans la liste, puis effacer), puis rechargez la page (F5) sans toucher au bandeau.
Lisez la liste. Cliquez sur l'adresse de votre site : chaque ligne est un cookie, avec son nom, son domaine et sa date d'expiration. Un domaine qui n'est pas le vôtre signale un service tiers. Regardez aussi la rubrique Stockage local (Local Storage).
Regardez qui est appelé. Onglet Réseau, rechargez la page, puis tapez tour à tour dans le filtre : analytics, tagmanager, facebook, doubleclick, youtube. Un appel à ces services avant tout choix mérite examen, même sans cookie visible.
Testez le refus. Effacez de nouveau, rechargez, cliquez sur « Tout refuser » (ou son équivalent), puis rechargez : aucun traceur soumis au consentement ne doit apparaître.

Si, avant tout clic, vous ne voyez que des cookies de votre propre domaine qui servent à la session, au panier ou au choix de cookies, vous n'avez probablement pas besoin de bandeau de consentement. Si des cookies ou des appels publicitaires, sociaux ou statistiques apparaissent avant le choix, ou après un refus, il y a quelque chose à corriger.

Reconnaître les cookies les plus courants

Nom (exemples)	Origine probable	Consentement ?
`wordpress_logged_in_…`, `woocommerce_cart_hash`	Connexion WordPress, panier WooCommerce	Non (authentification, panier)
`PHPSESSID`	Session technique du site (formulaire, connexion)	En général non, s'il sert seulement au service demandé
Nom contenant « consent »	Mémorisation du choix fait sur le bandeau	Non
`_ga`, `_ga_…`	Google Analytics	Oui, sauf si l'outil, tel que configuré, remplit toutes les conditions d'exemption
`_fbp`	Pixel Meta (Facebook, Instagram)	Oui (publicité)

Si un bandeau est nécessaire : ce que demande la CNIL

Rien avant le choix : tant que le visiteur n'a pas accepté, les traceurs concernés ne sont ni déposés ni lus.
Refuser aussi simplement qu'accepter : par exemple deux boutons « Tout accepter » et « Tout refuser » au même niveau et au même format.
Le silence vaut refus : continuer à naviguer ou fermer le bandeau ne vaut pas accord.
Une information claire : les finalités (statistiques, publicité…) et la liste des sociétés concernées, accessible depuis le bandeau.
Pas d'interface trompeuse : bouton de refus décoloré, curseur incompréhensible…
Un retour possible à tout moment, par exemple via un lien « Gérer les cookies » en pied de page.
Un choix mémorisé : six mois est en général jugé approprié, pour l'accord comme pour le refus.

Sources : la page de la CNIL Cookies et traceurs : comment mettre mon site web en conformité ? et sa recommandation du 17 septembre 2020 (PDF).

Et si vous vous passiez de bandeau ?

Pour un site vitrine, c'est souvent possible : un outil de statistiques configuré dans le cadre de l'exemption, de simples liens vers vos réseaux plutôt que des boutons de partage qui chargent des scripts, une vidéo ou une carte chargée seulement quand le visiteur clique dessus. Moins de services tiers, c'est aussi une page plus légère : les scripts de suivi ralentissent l'affichage, et un bandeau qui surgit en retard décale le contenu sur mobile (voir site lent sur mobile : 8 causes). Sur WordPress, ce sont le plus souvent les extensions (formulaire, statistiques, partage, carte) qui ajoutent ces services : refaites le test ci-dessus après chaque installation. Et si vous désactivez des extensions pour alléger le site, vérifiez ensuite que celle qui gère votre référencement est toujours active et bien réglée (site WordPress absent de Google : les réglages à contrôler).

Ce que l'Audit express vérifie, et ce qu'il ne vérifie pas

L'Audit express à 19 € TTC ne se prononce pas sur la conformité juridique de votre bandeau. Il mesure en revanche le poids de la page et repère les scripts qui bloquent l'affichage, deux points où les outils de suivi pèsent souvent. Pour la conformité, le test ci-dessus et les pages de la CNIL restent la référence ; pour un cas particulier, demandez l'avis d'un professionnel du droit.

Questions fréquentes

Un site vitrine sans publicité doit-il avoir un bandeau cookies ?

Seulement s'il dépose ou lit des traceurs soumis au consentement. Sur un site vitrine, ils arrivent souvent par des éléments ajoutés sans y penser : outil de statistiques, vidéo ou carte intégrée, bouton de partage, pixel publicitaire. Si le site n'utilise que des traceurs dispensés de consentement, aucun bandeau de consentement n'est nécessaire, mais la CNIL conseille d'en informer les visiteurs, par exemple dans la politique de confidentialité.

Mon outil de statistiques nécessite-t-il le consentement ?

Oui, sauf s'il remplit toutes les conditions d'exemption fixées par la CNIL : mesure d'audience pour le seul compte de l'éditeur du site, statistiques anonymes, aucun recoupement ni transmission des données à des tiers, aucun suivi de la personne sur d'autres sites. La CNIL signale que certaines offres réutilisent les données pour leur propre compte et sortent alors de l'exemption. Demandez à votre fournisseur si son outil peut être configuré dans ce cadre, et gardez sa réponse.

Le bouton « Tout refuser » est-il obligatoire ?

La règle est que refuser doit être aussi simple qu'accepter. La CNIL donne comme exemple deux boutons « Tout accepter » et « Tout refuser » au même niveau et au même format ; sa recommandation présente aussi un lien « Continuer sans accepter » bien visible. Fermer le bandeau ou continuer à naviguer doit être considéré comme un refus.

Combien de temps faut-il mémoriser le choix du visiteur ?

La CNIL recommande de ne pas redemander le choix pendant un certain temps et juge en général appropriée une durée de six mois, aussi bien pour un accord que pour un refus. Le visiteur doit pouvoir changer d'avis à tout moment, par exemple grâce à un lien « Gérer les cookies » en pied de page.

Pas le temps de tout vérifier ?

Notre audit express contrôle 20 points sur votre page d'accueil et jusqu'à 4 pages internes, et vous remet un plan d'action priorisé sous 24 h, pour 19 € TTC.

Commander l'audit – 19 € TTC Voir l'offre

Guide rédigé par un agent d'intelligence artificielle (Claude) pour PGA WEBCORPO. Publié le 2026-10-04.